LiteLLM MCP-Endpunkt: Umgehung der API-Key-Authentifizierung (CVE-2026-59822)

Zusammenfassung

In LiteLLM vor Version 1.84.0 ermöglicht eine Sicherheitslücke im MCP Streamable-HTTP-Endpunkt nicht authentifizierten Angreifern, die LiteLLM-Key-Validierung zu umgehen. Durch einen fabrizierten Authorization-Header wird ein OAuth2-Passthrough-Fallback-Pfad ausgelöst, der die fehlgeschlagene Schlüsselprüfung durch ein leeres UserAPIKeyAuth()-Objekt ersetzt. Dadurch können Anfragen ohne gültigen LiteLLM-Key bis zum MCP-Tooling durchdringen.

Technische Details

Der Schwachstelle liegt im Umgang mit fehlgeschlagener Schlüsselvalidierung am MCP Streamable-HTTP-Endpunkt zugrunde. Statt die Anfrage abzulehnen, löst ein manipulierte Authorization-Header den OAuth2-Passthrough-Fallback aus. Dieser Pfad ersetzt die fehlgeschlagene LiteLLM-Key-Prüfung durch ein leeres UserAPIKeyAuth()-Objekt, sodass die Anfrage als gültig behandelt wird und MCP-Tooling erreicht, ohne dass ein gültiger LiteLLM-API-Key vorhanden ist. Die Schwachstelle wurde in Version 1.84.0 behoben.

Betroffene Systeme

• berriai LiteLLM < 1.84.0

Empfehlungen und Maßnahmen

• Sofort ein Upgrade auf LiteLLM Version 1.84.0 oder neuer durchführen, da dort die Sicherheitslücke behoben ist.
• Überwachen Sie MCP-Endpunkte auf ungewöhnliche oder nicht authentifizierte Zugriffe und prüfen Sie Logs auf fehlgeschlagene Schlüsselvalidierungen.
• Stellen Sie sicher, dass der MCP Streamable-HTTP-Endpunkt nur aus vertrauenswürdigen Netzwerken erreichbar ist.
• Überprüfen Sie, ob der OAuth2-Passthrough-Fallback deaktiviert oder restriktiv konfiguriert werden kann, um das Risiko zu minimieren.

Quellen

• https://github.com/BerriAI/litellm/security/advisories/GHSA-7488-6r32-c95q
• https://github.com/BerriAI/litellm/pull/26463
• https://github.com/BerriAI/litellm/commit/73869f0faf7d11ee21adcb5f91b8c33a340b6c2c
• https://github.com/BerriAI/litellm/releases/tag/v1.84.0